Las contraseñas han sido un pilar fundamental de la seguridad desde que se desarrolló el lenguaje humano. Este secreto compartido puede utilizarse para abrir tanto puertas físicas como digitales. Pero, al igual que cualquier secreto, si se revela a la persona equivocada, puede utilizarse con fines maliciosos.
Las contraseñas ofrecen a los ciberdelincuentes una forma de sortear el sistema de seguridad. Esa puerta queda totalmente abierta si una contraseña es insegura, se comparte o es objeto de un ataque de phishing. La gestión de las contraseñas contribuye a mitigar el riesgo en una organización.
A continuación, le ofrecemos un resumen de algunos de los riesgos que conlleva el uso de contraseñas, así como algunos consejos para gestionarlas.
El problema de las contraseñas
Las contraseñas se mantienen porque los usuarios las comprenden; los desarrolladores web y de aplicaciones también las comprenden y ofrecen una seguridad básica. Por estas razones, las contraseñas seguirán utilizándose, incluso con iniciativas como el sistema sin contraseña, FIDO.
Una contraseña segura es la credencial de acceso más básica, pero las contraseñas distan mucho de ser una medida de seguridad sólida. Debido a las puertas que una contraseña puede abrir, esta credencial se ha convertido en un objetivo prioritario de los ciberataques. El Informe sobre investigaciones de filtraciones de datos (DBIR) de 2022 identificó el robo de credenciales como uno de los cuatro principales métodos utilizados para acceder indebidamente a los datos.
El Informe anual sobre la exposición de la identidad de 2022 reveló algunas estadísticas alarmantes en relación con las contraseñas:
● En 2021, los piratas informáticos se hicieron con 1 700 millones de credenciales (combinaciones de dirección de correo electrónico y contraseña o de nombre de usuario y contraseña)
● Un año después, el 70 % de los usuarios seguía utilizando contraseñas que habían sido comprometidas
● La contraseña más utilizada en texto plano (es decir, sin cifrar) fue «password»
● El 60 % de los usuarios reutiliza las contraseñas. Una encuesta de Google reveló que el 52 % reutiliza las contraseñas en varias cuentas.
● Solo el 20 % de los usuarios dispone de un gestor de contraseñas
Los costes derivados de la filtración de contraseñas, el robo y el acceso no autorizado se acumulan. El informe «El coste de las amenazas internas» de 2022, elaborado por el Ponemon Institute, reveló que:
● El coste del robo de credenciales aumentó un 65 %, pasando de 2,79 millones de dólares en 2020 a 4,6 millones de dólares en 2021/2022
● La gestión de una amenaza interna lleva unos 85 días
● Los incidentes cuya contención llevó más de 90 días supusieron, de media, un coste de 17,19 millones de dólares
Cómo llegan las contraseñas a manos de los ciberdelincuentes
Entre las formas más habituales en las que se roban o se ven comprometidas las contraseñas se incluyen:
Infección por malware
El malware diseñado para robar datos enviará cualquier combinación de contraseña, nombre de usuario y correo electrónico que introduzca un usuario a los ciberdelincuentes que controlan dicho malware.
Un informe de SpyCloud reveló que, en 2021, el malware «RedLine Stealer» se utilizó ampliamente para sustraer credenciales y otros datos a los usuarios de Windows. Este malware se podía adquirir en una web oscura por 800 dólares o mediante una suscripción al servicio «malware como servicio» por 200 dólares al mes.
Fuga de datos
Las filtraciones de datos ofrecen a los ciberdelincuentes una vía para acceder a contraseñas robadas y a combinaciones de nombres de usuario y direcciones de correo electrónico, es decir, a credenciales de inicio de sesión. Por ejemplo, la filtración de datos «Collection 1-5» de 2019 dejó al descubierto 2.2 mil millones de contraseñas y direcciones de correo electrónico.
Las filtraciones de datos suelen producirse mediante el acceso no autorizado a una base de datos, una configuración de seguridad incorrecta que deja la base de datos vulnerable, la divulgación accidental debida a un error en el envío de un correo electrónico o un ataque informático deliberado. En el ciclo de la ciberdelincuencia, una base de datos comprometida acaba revelando más credenciales de acceso para llevar a cabo nuevos ataques.
Phishing
Una forma habitual de robar contraseñas es el phishing. De hecho, el informe DBIR de 2022 señaló que el phishing era uno de los cuatro principales métodos de filtración de datos utilizados para obtener acceso a los datos de inicio de sesión. El spear-phishing supone un problema especial para los administradores de sistemas y los usuarios con privilegios, que son objeto de ataques debido a sus credenciales de acceso privilegiado.
Los proveedores externos son objetivos de los piratas informáticos en los ataques relacionados con contraseñas. Por ejemplo, en el caso del ataque de ransomware contra Colonial Pipeline en 2021, una sola contraseña sustraída a un exempleado se relacionó con el ataque que provocó el cierre temporal de la mitad del suministro de combustible de EE. UU.
Exposición accidental y amenazas internas
A los empleados les gusta compartir contraseñas con sus compañeros de trabajo, así como reutilizarlas. Una encuesta reciente reveló que casi el 42 % de los empleados comparte contraseñas con sus compañeros de trabajo. El mismo estudio reveló que 1 de cada 4 empleados seguía teniendo acceso a cuentas antiguas incluso después de haber dejado la empresa.
La divulgación accidental de contraseñas o el acceso no autorizado constituyen un factor importante que contribuye a los ciberataques y a las filtraciones de datos; según el informe DBIR de 2022, el 82 % de los ataques implican a un ser humano.
Cinco consejos rápidos para gestionar las contraseñas
A continuación le ofrecemos cinco consejos para gestionar las contraseñas y reducir los riesgos:
Configurar y aplicar políticas de contraseñas
Las políticas de contraseñas constituyen el primer paso para reducir los riesgos asociados al uso de las mismas. Estas políticas abarcan todo lo relacionado con la gestión de las contraseñas y con su seguridad. Por ejemplo, una política debe incluir el almacenamiento seguro de las contraseñas y la frecuencia con la que deben cambiarse.
Las políticas de contraseñas también deben establecer claramente cómo deben crear y gestionar las contraseñas los empleados. Dichas políticas deben distribuirse entre los empleados, y su gestión debe automatizarse a lo largo de todo su ciclo de vida para garantizar que sean aceptadas y comprendidas en toda la empresa.
Utilice un gestor de contraseñas
Los gestores de contraseñas, como LastPass, y los generadores de contraseñas reducen la «fatiga de contraseñas» y, por lo tanto, pueden ayudar a eliminar la reutilización y el intercambio de contraseñas. Si utiliza un gestor de contraseñas, técnicamente solo tendrá que recordar un conjunto de credenciales: la contraseña maestra para acceder a su gestor de contraseñas.
Una vez que haya iniciado sesión en el gestor de contraseñas con su contraseña maestra, este se encarga del resto: almacena, genera, sincroniza y actualiza las contraseñas. Su contraseña maestra se utiliza para cifrar las contraseñas almacenadas en su almacén de contraseñas.
Sin embargo, los gestores de contraseñas siguen sin utilizarse lo suficiente en las empresas. Existen numerosos gestores de contraseñas, pero los servicios basados en la nube pueden resultar más fáciles de implementar y administrar. Busque un gestor de contraseñas que también sea compatible con distintos sistemas operativos y que proteja otros tipos de datos, además de las contraseñas.
Utilice un segundo factor de autenticación (2FA/MFA)
El uso de un segundo factor, como un código de autenticación enviado al móvil, es una forma útil de añadir otra capa de seguridad al acceso a una aplicación. Sin embargo, no debe confiar en que la autenticación de dos factores (2FA) ofrezca un control de acceso 100 % libre de riesgos.
Los ciberdelincuentes ya están buscando formas de eludir la autenticación de dos factores. Si puede, active la autenticación de dos factores (2FA), pero complemente esta medida con los dos consejos siguientes para reducir los riesgos asociados a las contraseñas:
Imparta formación a los empleados sobre buenas prácticas en materia de contraseñas
Las políticas de contraseñas deben reflejar las normas del sector de la ciberseguridad en materia de creación, uso y gestión de contraseñas. No obstante, para garantizar el cumplimiento de esta política es necesario que los empleados comprendan por qué es fundamental utilizar contraseñas seguras.
Los programas de formación en concienciación sobre ciberseguridad suelen incluir módulos sobre cómo crear contraseñas seguras y cómo protegerlas.
Utilice simulaciones de phishing para reducir el robo de contraseñas
El phishing es uno de los principales métodos utilizados para robar contraseñas y otras credenciales. Al formar a los empleados sobre cómo funciona el phishing y cuáles son los indicios reveladores de un mensaje de phishing, una empresa puede contribuir a prevenir el robo de credenciales a través de esta técnica.
Las plataformas de simulación de phishing ofrecen una forma centralizada y configurable de enviar mensajes de phishing simulados al personal. Una plataforma avanzada de simulación de phishing le permitirá, además, personalizar los mensajes de phishing simulados para que se adapten a los distintos puestos de su empresa.
Es probable que las organizaciones sigan utilizando contraseñas durante algún tiempo, lo que aumenta el riesgo de sufrir un ciberataque. No obstante, si aplica los cinco consejos que aquí se describen, podrá reducir los riesgos derivados del uso de contraseñas por parte de sus empleados. Estos consejos contribuyen a prevenir las filtraciones de datos y las infecciones por ransomware, y ayudan a su empresa a cumplir con la normativa en materia de protección de datos.